IAT表详解

IAT的全称是Import Address Table。



对于每一个引入的可执行文件（例如dll），有一个镜像引入描述符(IMAGE_IMPORT_DESCRIPTOR)。

typedef struct _IMAGE_IMPORT_DESCRIPTOR {

union {

DWORD Characteristics; // 0 for terminating null import descriptor

DWORD OriginalFirstThunk; // RVA to original unbound IAT (PIMAGE_THUNK_DATA)

};

DWORD TimeDateStamp; // 0 if not bound,

// -1 if bound, and real date\time stamp

// in IMAGE_DIRECTORY_ENTRY_BOUND_IMPORT (new BIND)

// O.W. date/time stamp of DLL bound to (Old BIND)



DWORD ForwarderChain; // -1 if no forwarders

DWORD Name; // RVA，指向字符串，是这个可执行文件的名字。例如"ACE.dll"

DWORD FirstThunk; // RVA to IAT (if bound this IAT has actual addresses)

} IMAGE_IMPORT_DESCRIPTOR;



dll的forward不好讲，因为很多都是undocumented的.



我们着重关心两个指针，OriginalFirstThunk和FirstThunk。

Characteristics一词出于历史原因，故在此给它了一个别名，OriginalFirstThunk。

OriginalFirstThunk和FirstThunk是两个DWORD值，存贮着两个RVA数值，其实它们就是两个指针。

OriginalFirstThunk和FirstThunk实际上都是指向同一个数组。

前者，我们称之为INT,而后者，我们称之为IAT.



IAT是一个IMAGE_THUNK_DATA类型的数组。有多少个函数被导入，这个数组就有多少个成员。该数组以0结尾。







typedef struct _IMAGE_THUNK_DATA32 {

union {

DWORD ForwarderString; // 一个RVA地址，指向forwarder string 

DWORD Function; // PDWORD，被导入的函数的入口地址

DWORD Ordinal; // 该函数的序数

DWORD AddressOfData; // 一个RVA地址，指向IMAGE_IMPORT_BY_NAME

} u1;

} IMAGE_THUNK_DATA32;

IMAGE_THUNK_DATA64与IMAGE_THUNK_DATA32的区别，仅仅是把DWORD换成了64位整数。





PIMAGE_IMPORT_BY_NAME是一个非常简单的结构，就两个成员。

typedef struct _IMAGE_IMPORT_BY_NAME {

WORD Hint; ///该函数的导出序数

BYTE Name[1]; ///该函数的名字

} IMAGE_IMPORT_BY_NAME, *PIMAGE_IMPORT_BY_NAME;

这里我比较好奇的是，为什么Name只有两个字节。



而IMAGE_THUNK_DATA32就是一个非常魔术般的东西了。

struct IMAGE_THUNK_DATA的大小，恰好等于一个指针的大小。(32bit机器下是32bit,64bit机器下是64bit)

每一个IMAGE_THUNK_DATA对应着一个被导入的函数。



对于可执行文件而言，IAT中的IMAGE_THUNK_DATA中存储的要么是Ordinal，要么是AddressOfData。

怎么判断IMAGE_THUNK_DATA中存储的是Ordinal 还是 AddressOfData 呢？

众所周知，在32bit的机器上，地址空间是00000000-FFFFFFFF,

一般而言，其中00000000-7FFFFFFF是用户空间，其它是系统空间。

于是，看IMAGE_THUNK_DATA的最高位，如果是1，就是Ordinal，否则就是AddressOfData。

但是这里还存在一个2GB的问题。因为2GB的用户地址空间对于很多程序不够用，(主要是数据库系统)，于是微软就想了一些变通的办法。例如win 2000的/3GB选项。

在启动文件,boot.ini中加上这个选项后，用户空间变成3GB,系统空间减少到1GB。

然后呢？

然后在链接该可执行文件的时候必须加上特殊的选项，这样在PE头就会有一个特殊的设置。

如果开了3GB选项，如果PE头不加这个设置，那么用户空间是2GB,系统空间是1GB.

如果开了3GB选项，且PE头加了这个设置，那么用户空间是3GB,系统空间是1GB.









而INT和IAT中存储的本来应该是同样的数据。



然后说绑定(binding).

当一个可执行文件被绑定的时候，IAT中的IMAGE_THUNK_DATA被改写为(被导入的)该函数的实际地址。

这一步也许是交给链接器在链接的时候执行，也许是在该可执行文件载入的时候执行。



但是，如果，该可执行文件已经和dll绑定。但是这个dll后来又被更改了，这些被导入的函数依然在该dll中存在，但是实际地址已经改变了。还有，我们保留过一个IAT的副本，它就是INT.（这就是为什么我们称之为Original FirstThunk).根据INT中的内容，我们可以重建IAT表。



综上所述，将exe文件绑定到dll的最佳时机，是在安装可执行文件的时候。这就是安装程序，Windows installer,所要做的事情之一。



下面说，怎么判断IAT中的信息是否已经过期。

首先，绑定分两种类型，新式的和老式的。

前面已经说过IMAGE_IMPORT_DESCRIPTOR中的TimeDateStamp有三种可能性。

1.TimeDateStamp等于0 =〉 尚未绑定

2.TimeDateStamp等于-1 => 新式绑定

3.其它 => 老式绑定，这里存储的就是上次绑定是在什么时间。



然后我详细介绍下新式绑定

DataDirectory[ IMAGE_DIRECTORY_ENTRY_BOUND_IMPORT ]指向一个重要的数据结构。

typedef struct _IMAGE_BOUND_IMPORT_DESCRIPTOR {

DWORD TimeDateStamp; // a DWORD that contains the time/date stamp of the imported DLL.

WORD OffsetModuleName; // a WORD that contains an offset to a string with the name of the imported DLL. This field is an offset (not an RVA) from the first IMAGE_BOUND_IMPORT_DESCRIPTOR.

WORD NumberOfModuleForwarderRefs; //这个结构体后面还有多少个IMAGE_BOUND_FORWARDER_REF 结构体

// Array of zero or more IMAGE_BOUND_FORWARDER_REF follows

} IMAGE_BOUND_IMPORT_DESCRIPTOR, *PIMAGE_BOUND_IMPORT_DESCRIPTOR;



来看看IMAGE_BOUND_FORWARDER_REF是一个什么样的结构体。

typedef struct _IMAGE_BOUND_FORWARDER_REF {

DWORD TimeDateStamp;

WORD OffsetModuleName;

WORD Reserved;

} IMAGE_BOUND_FORWARDER_REF, *PIMAGE_BOUND_FORWARDER_REF;



和IMAGE_BOUND_IMPORT_DESCRIPTOR完全相同，除了最后一个字节，它是被保留的。



然后说这两个结构体的作用。

IMAGE_BOUND_IMPORT_DESCRIPTOR的作用很显然。根据TimeDateStamp和OffsetModuleName字段的值我们就可以判断IAT表中的信息是否已经过期。

但是存在这样一种情况。一个dll导到另一个dll中。例如USER32.DLL和KERNEL32.DLL。

假如USER32.DLL未更改，但是KERNEL32.DLL更改过了。此时需要重建USER32.DLL的IAT。但是我们的程序只是直接用到了 USER32.DLL,于是导入表中就没有KERNEL32.DLL的IAT,也没有KERNEL32.DLL的TimeDateStamp和 OffsetModuleName。于是……



如果一个dll forward了另一个dll,那么在这个dll的IMAGE_BOUND_IMPORT_DESCRIPTOR结构体后面需要再插入被forward的 dll的IMAGE_BOUND_FORWARDER_REF结构体。之后才是下一个dll的 IMAGE_BOUND_IMPORT_DESCRIPTOR。

而IMAGE_BOUND_IMPORT_DESCRIPTOR.NumberOfModuleForwarderRefs的意义就不言而喻了。



每个dll一个IAT表，一般而言，这些IAT表都是统一存储在一起的。由于每个IAT表是以0结尾。所以很容易分离开来